本发明提供一种基于流量摘要和图采样的僵尸网络混合检测方法及系统，包括将原始流量按照一定的时间窗口大小和主机地址，针对不同通信协议聚合成一条新的流量摘要记录；将新的流量摘要记录形成数据集，利用随机森林算法对数据集进行训练，获得僵尸主机检测模型；预测待检测流量摘要的预测值；利用基于随机游走的通信图节点对采样算法对原始流量进行采样，形成网络主机通信图；构建异常值检测模型,预测待检测流量的主机为僵尸主机的概率值；将待检测流量摘要的预测值和主机为僵尸主机的概率值加权求和，并与阈值进行比较，将超过阈值对应的主机判断为僵尸主机；该方法及系统提高了识别的准确度和检测效率。